令和6年度 春期 ネットワークスペシャリスト試験 午前 II 問21
この問題は2024(R6)春 ネットワークスペシャリスト 午前IIに出題されたものです。出題時点の法令・制度に基づく内容のため、現行の内容と一致しない場合があります。
本ページの問題文・選択肢は、原本の体裁を Web 表示用に正規化しています（改行・記号・数式・図表参照の調整）。設問の趣旨および正解に影響する変更は加えていません。
IPsecに関する記述のうち，適切なものはどれか。
解答・解説を読む
正解: 選択肢ア
IPsec (Security Architecture for Internet Protocol) は、ネットワーク層（IP層）でパケットの暗号化や送信元認証、改ざん検知を行い、安全な通信を実現するためのプロトコル群です。主にVPN（Virtual Private Network）の構築などに利用されます。
IPsecを構成する主なプロトコルや要素は以下の通りです。
- ESP (Encapsulating Security Payload): パケットの暗号化と認証を行います。
- AH (Authentication Header): パケットの認証と改ざん検知を行いますが、暗号化は行いません。
- IKE (Internet Key Exchange): 鍵交換を行い、通信方式の取り決めであるSA（Security Association）を確立します。
また、IPsecには2つの動作モードがあります。
- トランスポートモード: 元のIPパケットのペイロード（データ部分）のみを暗号化・認証します。主にホスト間の通信で使用されます。
- トンネルモード: 元のIPパケット全体（IPヘッダーとペイロード）を暗号化し、新しいIPヘッダーを付与します。主に拠点間通信（ルータ間など）で使用されます。
各選択肢の解説
- ア (正解): ESPのトンネルモードでは、元のIPパケット全体（IPヘッダーを含む）をカプセル化して暗号化し、新しいIPヘッダーを付加して転送します。したがって、エンドツーエンドの通信で用いる元のIPヘッダーも暗号化の対象となります。
- イ (誤り): IKEはIPsecにおける鍵交換のためのプロトコルですが、使用されるポート番号は80（HTTP）ではなく、UDPポート500（NATトラバーサル環境では4500）です。
- ウ (誤り): HMAC-SHA1は、データの完全性（改ざんされていないこと）や送信元認証を確認するためのメッセージ認証コード (MAC) を生成するアルゴリズムです。データを秘匿するための暗号化アルゴリズムには、主にAESなどが使用されます。
- エ (誤り): 通信を始める前に、二つのホスト間で認証方式や暗号化アルゴリズムを決定し、鍵情報を共有するためのネゴシエーション（SAの確立）を行うのは、AHヘッダーやESPヘッダーではなくIKEの役割です。